Dans le courant de l’année 2018, la CNIL a reçu six plaintes émanant d’agents publics et de salariés d’entreprises dénonçant la mise en place par leur employeur de « badgeuses photo » sur leur lieu de travail.
Pour information, la « badgeuse photo » est un dispositif de contrôle d’accès par badge intégrant une prise de photographie systématique à chaque pointage.
Après avoir réalisé des contrôles entre mars et septembre 2019, la CNIL a publié sur son site internet, le 27 août 2020, une mise en demeure adressée à plusieurs employeurs pour collecte excessive de données, les enjoignant de mettre leurs dispositifs de contrôle des horaires en conformité avec le RGPD.
La CNIL rappelle, en effet, que conformément aux dispositions de l’article 5 (1.c) du RGPD, tout dispositif de contrôle des horaires de travail doit respecter le principe de minimisation des données. Cela signifie que les données collectées doivent, par conséquent, « être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
Elle s’appuie, également, sur les dispositions de l’article L 1121-1 du Code du travail qui dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».
Pour la CNIL, l’utilisation de badgeuses photo par les organismes contrevient au principe de minimisation des données. La collecte obligatoire et systématique, deux à quatre fois par jour, de la photographie de l’employé à chacun de ses pointages apparaît donc excessive.
La CNIL considère, en effet, que les outils de gestion des horaires sans prise de photographie, tels que les pointeuses à badge classiques, apparaissent suffisants, sauf circonstances particulières et dûment étayées, pour remplir la finalité de contrôle des horaires de travail. Les pointeuses par badge enregistrent le jour et l’heure de pointage de la personne utilisant le badge et permettent d’assurer un contrôle satisfaisant des horaires de travail des agents.
Par ailleurs, lors de ces contrôles, la CNIL a pu constater que dans la pratique, l’accès aux photographies pour contrôler les horaires des salariés était quasi inexistant, et qu’il n’y avait pas de procédure contentieuse initiée sur la base des informations collectées par ces dispositifs.
Ces éléments ont conduit la Présidente de la CNIL à mettre les organismes concernés en demeure de rendre leurs dispositifs de contrôle des horaires conformes au RGPD dans un délai de trois mois.
Pour la CNIL, ces mises en demeure sont l’occasion de rappeler que le respect des règles de protection des données à personnelles est un facteur de transparence et de confiance, participant à l’obligation d’exécution de bonne foi du contrat de travail.
La CNIL précise, également, que le renforcement du rôle du personnel encadrant (managers), notamment pour prévenir et empêcher la fraude devrait, par principe, être privilégié au recours à des dispositifs de contrôle reposant sur des technologies intrusives.
Force est de constater que cette position s’inscrit dans la continuité de la jurisprudence des juges du Conseil d’État et de la Cour de cassation qui ont précisé, à propos de dispositif assurant le contrôle des horaires des salariés par la collecte de leurs données de géolocalisation, que «l’utilisation (par un employeur) d’un système de géolocalisation pour assurer le contrôle de la durée du travail (de ses salariés) […] n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace».
Si les organismes ne se conforment pas à leur mise en demeure, la Présidente de la CNIL aura la possibilité de saisir la formation restreinte de la CNIL qui pourra alors prononcer une sanction pécuniaire et rendre celle-ci publique, si elle l’estime nécessaire.
